Symantec Endpoint Protection

[Shell 301]

Добрый день.

Сломал голову над проблемой.

Есть Филиал. На нем 10 компьютеров вместе с 2 серверами. Филиал на канале связи с головным офисом. Там был установлен сервер SEPM, к которому они были подключены. 28 апреля 4 клиента одновременно потеряли управляющий сервер. Посыпалась файловая система сервера (директория Liveupdate сначала потеряла к себе права доступа, а после checkdisk вовсе пропала). Восстановил сервер SEPM. Большинство клиентов восстановилась нормально. 4- нет.

В Troubleshooting - сервер=оффлайн. Остальные 6 клиентов - сервер видят. Остановил тот сервер, подключил к серверу в головном офисе. 6 клиентов перешли успешно. Эти 4 - все так же оффлайн. Через SEP Support tools существенных ошибок нет. Подключение к управляющему серверу утилита показывает нормальное.

Из ошибок через SEPSupport Tools:

Error Simple filesharing is enabled. Error Name:  WpsHelper Type:  Kernel Driver Status Setting Default Actual Error State Running Stopped Error Exit Code  С момента последней загрузки попытки запустить службу не делались.  Ok Start Type Demand Start Demand Start Ok Log On As LocalSystem LocalSystem Warning Symantec Endpoint Protection 11.0, MR4 (11.0.4000.2295)

Через SylinkDrop неоднократно подсовывал правильные параметры - и клиенты успешно кушают их, но связи так и нет. Пробовал подменить файл вручную - безрезультатно (параметры, естественно, выгружал с SEPM к которому подключаю). Дал задание айтишнику переустановить с нуля операционку одну, накатил SEP. Результат тот же. Смотрю через сниффер что же происходит на уровне сети. Даю smc -checkinstall, smc -updateconfig клиент лезет на управляющий сервер, получает через GET запрос /secars/secars.dll и сразу сервер отвечает Internal server error в пакете клиенту.

По аналогии с 6 клиентами которые нормально - клиент от сервера должен на этом этапе получить Sem-HashKey (в случае новой сессии) и продолжать сессию.

При этом, на этом сервере без проблем висит 300+клиентов без каких либо похожих проблем.

Вот как выглядит клиент:

2 клиента из 4х без ошибок - но все же нет связи с SEPM.

Проблемных клиентов пробовал удалять из SEPM - с тех пор они даже не появлялись в SEPM, через поиск неуправляемых клиентов по этой подсети не находятся.

Бьюсь головой, не знаю куда копать.

Пробовал перецепить к прошлому их серверу, результат = 0.

Удалять\добавлять домен в SEPM пробовал, безрезультатно.

У клиентов (у компа, у учетной записи пользователя) нет доступа в Интернет. Но в настройках браузера прописано "не использовать прокси для подсетей ..." и там указана подсеть SEPM <<<- грешил на это, думая что http запросы могут таки идти и резаться через прокси пока не увидил трафик в живую к SEPM от клиентов.

Порт для сервера использую 8014.

Версия сервера и клиентов 11.0.4000.2295

Клиенты - под MS Windows XP SP2 buil 2600 Rus.

Проходился по клиентам вайпом - результат тот же.

Проблему выявил только с этими клиентами на этом Филиале.

P.S.

Сегодня попробовал установил последнюю версию клиента (4019). Результат тот же. Мистика какая то.

[Кирилл Керценбаум 671]

Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

[MKR 0]

Shell попробуйте воспользоваться вот этими утилитами, рекомендую параллельно открыть кейс в тех. поддержке - http://service1.symantec.com/support/ent-s...72?OpenDocument

Немного не в тему, может подскажете в каком направлении искать:

клиенты получают политики с сервера. судя по логу System.log на компе, загружают обновления, но на сервере пустой лог Client-server act. с сервером к которому привязаны клиенты и Client act. по данным клиентам и во всех отчетах старая версия баз на клиентах, хотя повторюсь, клиенты получают базы судя по своим логам и ошибок не генерят.

[Кирилл Керценбаум 671]

MKR версия? Диагностику запускали на сервере и на проблемном клиенте?

[MKR 0]

4014 везде, вот такая ошибка на сервере:

Is Microsoft IIS correctly configured for Symantec Endpoint Protection Manager?

Error SEPM Virtual Directories with incorrect permissions: Location Expected Actual

/LM/W3SVC/1/ROOT None Scripts only

Error SEPM Virtual Directories with incorrect paths: Location Path

/LM/W3SVC/1/ROOT c:\inetpub\wwwroot

Эта ошибка есть и на другом сервере, с которым проблем нет, может дело в W2K3 R2? где то я слышал про это.

ссылка на статью http://www.symantec.com/techsupp/servlet/P...050.91.04282009

Отредактировал Май 15, 2009 MKR

[Кирилл Керценбаум 671]

MKR попробуйте позвонить в тех. поддержку

[MKR 0]

MKR попробуйте позвонить в тех. поддержку

C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

[Shell 301]

C русскоязычной ТП разбирались несколько дней, но в результате мне так и не смогли помочь, отправлял им debug и ошибки Support Tool, когда вышла новая версия, обновил сервер - сразу связь с клиентами восстановилась, инцидент закрыли.

Увы. Вчера в надежде проделал тоже самое. Накатил поверху через vpremote версию 11.0.4202.75. Сервер не обновлял. Безрезультатно. Те клиенты на Филиале что были видны в SEPM - видны и с новой версией. У проблемных - все та же ошибка. Сам сервер SEPM не могу обновить, так как много дочерних серверов обновлять придется (очень долго по времени вручную + трафик на удаленных каналах дороговато выходит).

Вот что видно через Sylinkmonitor:

05/26 16:10:59 [3472] <ScheduleNextUpdate>Manually assigned heartbeat=1 seconds05/26 16:11:00 [1508] <CheckHeartbeatTimer>====== Heartbeat loop starts at 16:11:00 ======05/26 16:11:00 [1508] <GetOnlineNicInfo>:Netport Count=105/26 16:11:00 [1508] <GetOnlineNicInfo>:NicInfo<SSANICs><SSANIC Ip= ....."... (removed)..05/26 16:11:00 [1508] <DoHeartbeat> Set heartbeat event05/26 16:11:00 [1508] Use new configuration05/26 16:11:00 [1508] <CSyLink::IndexHeartbeatProc()>05/26 16:11:00 [1508] <IndexHeartbeatProc> Got ConfigObject to proceed the operation.. pSylinkConfig: 01BDE52805/26 16:11:00 [1508] <IndexHeartbeatProc>====== Reg Heartbeat loop starts at 16:11:00 ======05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] Get First Server!05/26 16:11:01 [1508] <GetFirstSEMServer> Selecting a random server05/26 16:11:01 [1508] <GetFirstServer> Using server '10.0.0.25'05/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899805/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28998&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://10.0.0.25:8014/secars/secars.dll?h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etIndexFileRequest:>SMS return=50005/26 16:11:01 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:01 [1508] HTTP returns status code=50005/26 16:11:01 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:01 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:01 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:01 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:01 [1508] HEARTBEAT: Check Point 5.105/26 16:11:01 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 805/26 16:11:01 [1508] Get Next Server!05/26 16:11:01 [1508] <IndexHeartbeatProc>switch to another server05/26 16:11:01 [1508] <DecrementScheduleTime:>New scheduled heartbeat=64 seconds05/26 16:11:01 [1508] HEARTBEAT: Check Point 105/26 16:11:01 [1508] HEARTBEAT: Check Point 205/26 16:11:01 [1508] <PostEvent>going to post event=EVENT_SERVER_CONNECTING05/26 16:11:01 [1508] <PostEvent>done post event=EVENT_SERVER_CONNECTING, return=005/26 16:11:01 [1508] HEARTBEAT: Check Point 305/26 16:11:01 [1508] <IndexHeartbeatProc>Setting the session timeout on Profile Session to 3000005/26 16:11:01 [1508] HEARTBEAT: Check Point 405/26 16:11:01 [1508] <IndexHeartbeatProc>===Get Index STAGE===05/26 16:11:01 [1508] ************CSN=2899905/26 16:11:01 [1508] <mfn_MakeGetIndexUrl:>Request is: action=12&hostid=E08125620A00001901D5B88324B9CE6D&chk=D94ED4E866402A65CD619F60428B4580&ck=0BD9B23AFF5ABA29160F913250AFBDAA&uchk=4A4F9B6F6FCFDAC222E51C273843777D&uck=A780077068263BF94F627ACFB7ECAC80&hid=40D344CE34D89293F9B0C1E61648B96D&groupid=F34834370A0000190015B758697663EE&mode=0&hbt=1800&as=28999&cn=[hex]4C4F544F54534B49595850&lun=[hex]61646D696E6973747261746F72&udn=[hex]5045524D2E534E532E474B05/26 16:11:01 [1508] <GetIndexFileRequest:>http://frade.sns.gk:8014/secars/secars.dll?h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etIndexFileRequest:>SMS return=50005/26 16:11:04 [1508] <ParseHTTPStatusCode:>500=>500 INTERNAL SERVER ERROR05/26 16:11:04 [1508] HTTP returns status code=50005/26 16:11:04 [1508] <GetIndexFileRequest:>RECEIVE STAGE COMPLETED05/26 16:11:04 [1508] <GetIndexFileRequest:>COMPLETED05/26 16:11:04 [1508] <IndexHeartbeatProc>GetIndexFile handling status: 50005/26 16:11:04 [1508] <IndexHeartbeatProc>Switch Server flag=105/26 16:11:04 [1508] HEARTBEAT: Check Point 5.105/26 16:11:04 [1508] <ScheduleNextUpdate>new scheduled heartbeat=128 seconds05/26 16:11:04 [1508] HEARTBEAT: Check Point 805/26 16:11:04 [1508] Get Next Server!05/26 16:11:04 [1508] <PostEvent>going to post event=EVENT_SERVER_DISCONNECTED05/26 16:11:05 [1508] <PostEvent>done post event=EVENT_SERVER_DISCONNECTED, return=005/26 16:11:05 [1508] <IndexHeartbeatProc>====== IndexHeartbeat Procedure stops at 16:11:05 ======05/26 16:11:05 [1508] <IndexHeartbeatProc>Set Heartbeat Result= 105/26 16:11:05 [1508] <IndexHeartbeatProc>Sylink Comm.Flags: 'Connection Failed' = 1, 'Using Backup Sylink' = 0, 'Using Location Config' = 005/26 16:11:05 [1508] <IndexHeartbeatProc>Connection Failed! No. of tries = 205/26 16:11:05 [1508] Use new configuration05/26 16:11:05 [1508] HEARTBEAT: Check Point Complete05/26 16:11:05 [1508] <IndexHeartbeatProc>Done, Heartbeat=128seconds05/26 16:11:05 [1508] </CSyLink::IndexHeartbeatProc()>05/26 16:11:05 [1508] <CheckHeartbeatTimer>====== Heartbeat loop stops at 16:11:05 ======

Тоесть, в принципе то что я и в снифере видел.

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

[Shell 301]

Ну вот почему так всегда... Только собираешься похвалить один из 3х последних версий самый стабильный клиент SEP. И вот тебе раз

Обновил управляющий сервер SEPM до 11.0.4202. Та же ошибка 500я.

и потерял этот сервер. после перезапуска службы = java -1.

[Кирилл Керценбаум 671]

и потерял этот сервер. после перезапуска службы = java -1.

поверх какой версии ставили?

Вот это проверяли?

http://service1.symantec.com/support/ent-s...d9?OpenDocument

И еще посмотрите вот эту статью, эта ошибка давно исправлено, но похоже ли на вашу проблему?

http://service1.symantec.com/support/ent-s...a2?OpenDocument

[Shell 301]

Статьи уже давно в закладках. Не помогло сначала ничего абсолютно. Перепроверил все параметры, которые отвечали за данную ошибку. Уже все с закрытыми глазами делаю.

В логе ошибка

2009-05-26 18:29:31.236 SEVERE: Unknown Exception in: com.sygate.scm.server.servlet.StartupServletjava.lang.Exception: HTTP 404 Not Found, URL: http://localhost:8014/secars/secars.dll?action=34

и все тут. Служба стартует, две-три секунды и останавливается с типовой ошибкой. Реконфигурация сервера SEPM тоже не помогала.

Но настырности не занимать. Установка\удаление программ->Recovery. Результат положительный. Сервер восстановился, база цела, настройки тоже.

[Shell 301]

Кейс зарегистрирован 27 мая. Пока молчание. По словам поддержки - проблема из за создающихся дублей в БД.

Есть ли смысл пройтись на боевом сервере по табличкам запросом и поубивать записи относящиеся к данным компам? И не будет ли краха базы? Там же вроде все проиндексировано...

[Shell 301]

Попробовал удалить проблемного клиента из таблиц скриптом по COMPUTER_ID = 2013D99E0A000019003C96161F81FE87 (этот ID выдернут из таблиц, принадлежит 1му клиенту).

DELETE FROM [Endpoint].[dbo].[sEM_COMPUTER]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[sEM_CLIENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'DELETE FROM [Endpoint].[dbo].[LEGACY_AGENT]Where [COMPUTER_ID] = '2013D99E0A000019003C96161F81FE87'

Увы, к положительному результату не привело.

[Кирилл Керценбаум 671]

Увы, к положительному результату не привело.

Напишите мне в ЛС номер кейса

[Кирилл Керценбаум 671]

Shell пытаются воспроизвести проблему, должны в ближайшее время связаться

[Shell 301]

Решение есть. Спасибо поддержке.

Необходимо:

1) Остановить SEPM

2) Остановить SEP на клиенте (или smc -stop).

3) Выбрать из таблиц запросом проблемного клиента SEP

SELECT * from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'SELECT * from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'

Выбирать необходимо из обоих таблиц, так как искомый [CLIENT_ID] может быть в нескольких записях и разный в таблицах.

4) Выбираем [CLIENT_ID] для дополнения запроса.

5) Скриптом указанным ниже удаляем записи из таблиц

DELETE from [Endpoint].[dbo].[sEM_COMPUTER]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_CLIENT]where [COMPUTER_NAME] = 'clientname'DELETE from [Endpoint].[dbo].[sEM_AGENT]where [COMPUTER_ID] = 'clientid' orwhere [COMPUTER_ID] = 'clientid2' orwhere [COMPUTER_ID] = 'clientid3'

6) Стартуем SEPM

7) Стартуем на клиенте SEP и смотрим в troubleshooting-->server.

Можно и таким скриптом (проще )

delete from [Endpoint].[dbo].[sEM_AGENT] where [COMPUTER_ID] not in (select [COMPUTER_ID] from [Endpoint].[dbo].[sEM_COMPUTER])

где [Endpoint].[dbo] - имя БД SQL (по умолчанию, по-моему sem5).

Предыдущей моей ошибкой было то что не остановил SEPM\SEP.